802.1x, EX2200, NPS e tudo-tudo-tudo ...

A idéia de usar o 802.1x como um meio de combater o acesso não autorizado à rede não é nova. Cada um de nós deve ter se deparado com um mensageiro do serviço de entrega, que pode ver um patch cord da manga da jaqueta da empresa, e você já pode ver como ele, tendo notado uma tomada RJ-45 gratuita, corre para ele com um movimento rápido ...

No entanto, se no conceito geral o uso e a configuração do 802.1x com autorização via RADIUS forem vencidos e simples, nesse caso, houve um incidente, cuja solução vou oferecer a seguir.

Dado:

• Chave de acesso - EX2200, JunOS 12.3R2.
• Servidor RADIUS baseado no NPS Windows Server 2012R2.

• Um zoológico diversificado de dispositivos do tipo - televisores, AppleTV, impressoras e outros pequenos animais da rede, que não conseguem se conectar como participantes normais e adequados por meio de certificados ou PEAP. Cada um dos dispositivos no Active Directory tem sua própria conta na UO correspondente com sAMAccountName = MAC (em minúsculas, sem caracteres de separação), senha = sAMAccountName.

Para departamentos ou grupos de segurança que contêm esses dispositivos, um FineGrainedPasswordPolicy separado foi criado para poder definir senhas inadequadas para os padrões de segurança.

Configuração original para 802.1x no EX2200:

//set actual interfaces set interfaces interface-range ACCESS_PORTS member "ge-0/0/[0-40]" // Config interface range as L2 ports set interfaces interface-range ACCESS_PORTS unit 0 family ethernet-switching set protocols dot1x authenticator authentication-profile-name dynamicvlan set protocols dot1x authenticator radius-options use-vlan-id set protocols dot1x authenticator interface ACCESS_PORTS supplicant single set protocols dot1x authenticator interface ACCESS_PORTS transmit-period 10 set protocols dot1x authenticator interface ACCESS_PORTS retries 0 set protocols dot1x authenticator interface ACCESS_PORTS mac-radius set protocols dot1x authenticator interface ACCESS_PORTS supplicant-timeout 10 //set actual reject-vlan and fail-vlan set protocols dot1x authenticator interface ACCESS_PORTS server-reject-vlan default set protocols dot1x authenticator interface ACCESS_PORTS server-fail vlan-name default set protocols dot1x authenticator interface ACCESS_PORTS guest-vlan default //set actual password set access radius-server 172.17.xx secret "xxx" set access profile dynamicvlan authentication-order radius set access profile dynamicvlan radius authentication-server 172.17.xx 

Todas as estações de trabalho efetuaram login sem problemas, mas qualquer um dos shushera acima mencionados - não. O Wireshark mostrou teimosamente que o NPS envia o Access-Reject com o código EAP 4, que, como é conhecido em círculos estreitos, significa Falha.

Informativo, no entanto, como sempre ...

O protocolo usado pelo suplicante para autenticação do Mac-Radius é o EAP-MD5 por padrão.

Existem também opções de PEAP e PAP.

O PEAP não está disponível para o EX2200.

Estamos tentando configurar o PAP. Em texto simples, é claro, eu realmente não queria, mas, por não ter o melhor, dirigimos o querido time

 set protocols dot1x authenticator interface ACCESS_PORTS mac-radius authentication-protocol pap 

e (drum roll) - erro de sintaxe - é útil o Juniper nos diz.

Durante o confronto, ameaças com um ferro de solda e outras medidas repressivas, o site da Juniper sugeriu que esta opção está disponível apenas para firmware a partir da versão 15.1.

Parece, aqui está, uma solução para o problema. Mas não, o mesmo Juniper não apenas o recomenda, mas também de todas as maneiras possíveis, protege o costume de obscenidades como o firmware 15.1 no EX2200. Grit, a utilização do processador central e da RAM está acima da norma, portanto 12.3 é o limite máximo da versão do JunOS para os sortudos proprietários do EX2200.

Ok, vamos lidar com o protocolo que envia os dados do switch para o NPS.

Então, por padrão, ele os envia para eap-md5, o que? - Corretamente, ele está desativado no Windows Server, a partir do lançamento de 2008 - eles dizem que não é seguro. Várias consultas no Google fornecem o resultado desejado - um arquivo de registro que inclui o protocolo de que precisamos.

No entanto, o NPS responde teimosamente a solicitações de impressoras e outras rejeições de acesso .
Ele pegou cigarros, lembrou-se de ter jogado, escondido ...

Google, que está lá no mundo ... Mas não, isso é de outra ópera ...

Ok Google? Autenticação MAC 802.1x com NPS RADIUS

Depois de algumas páginas do google, no fórum da ubnt, encontrei o que estava procurando. Você precisa habilitar vários parâmetros para as credenciais dos dispositivos e recriar as senhas e - voila - Miracle. Além disso, ficou ainda melhor do que o esperado. O Eap-md5, é claro, não é uma boa notícia, mas ainda melhor do que texto simples.

A configuração resultante, configurações e capturas de tela da política sob o spoiler.


O resultado:

• Os dispositivos de rede, como televisores, Apple TV, impressoras são autenticados pelo 802.1xe por membros do grupo.
• As senhas não são transmitidas em texto não criptografado, mas pelo menos criptografadas.

Lista de orientações, guias e recursos:

Recomendações do Juniper para a versão do software no EX2200
Suporte EAP-PAP em dispositivos Juniper para autenticação MAC RADIUS
Comunidade UBNT dando o último chute na direção certa